基于云計算的智慧校園安全架構(gòu)

□文/張 天 劉 蕾 朱煥芝 廖志江 王彥英 張榮庚

（河北聯(lián)合大學 河北·唐山）

一、智慧校園的概念

2010年在信息化“十二五”規(guī)劃中由浙江大學提出的一個概念：無處不在的網(wǎng)絡(luò)學習、融合創(chuàng)新的網(wǎng)絡(luò)科研、透明高效的校務(wù)治理、豐富多彩的校園文化、方便周到的校園生活，這就是所謂的——智慧校園。它具有三大建設(shè)目標：一是為廣大師生提供一個智能感知環(huán)境和綜合信息服務(wù)平臺；二是基于計算機網(wǎng)絡(luò)的信息服務(wù)實現(xiàn)互聯(lián)和協(xié)作；三是通過智能感知環(huán)境和綜合信息服務(wù)平臺，為學校與外部世界提供一個相互交流和相互感知的接口。

智慧校園首先需要一個基礎(chǔ)設(shè)施平臺，其次需要一個信息服務(wù)平臺。為實現(xiàn)上述目標，促進學校數(shù)字化建設(shè)，目前已經(jīng)可以利用云計算、虛擬化技術(shù)構(gòu)建“校園云”，結(jié)合物聯(lián)網(wǎng)技術(shù)實現(xiàn)智慧校園。例如，在智慧校園中，手機一卡通正逐漸取代學生證、就餐卡、圖書證等各種證件，實現(xiàn)包括門禁、考勤、消費、數(shù)字化圖書館等功能。通過云計算搭建“教育云”平臺，共享豐富的教學內(nèi)容，提高教學內(nèi)容的直觀性，增加教學的互動性，激發(fā)學生的學習興趣；“教育云”平臺還可以提高學校的行政管理能力，整合學校的各種信息化管理系統(tǒng)，如辦公自動化系統(tǒng)、教務(wù)管理系統(tǒng)、學生管理系統(tǒng)等，通過整合，學校管理者可以有效地監(jiān)控教學效果，進而可以強化教學效果。

二、云計算及其特征

云計算是當前信息技術(shù)領(lǐng)域的熱門話題之一，它是一種新興的計算模式，是分布式計算、并行計算和網(wǎng)格計算的發(fā)展。維基百科認為，云計算是一種將動態(tài)伸縮的虛擬化資源通過互聯(lián)網(wǎng)以服務(wù)的方式提供給用戶的計算模式，用戶不需要知道如何管理那些支持云計算的基礎(chǔ)設(shè)施。在云計算環(huán)境中計算機硬件和軟件都是資源并被封裝成服務(wù)，這些資源在物理上以分布式的共享方式存在，但在邏輯上以單一整體的形式呈現(xiàn)，根據(jù)需要進行動態(tài)擴展和配置，用戶可以通過互聯(lián)網(wǎng)按需訪問和使用云中的資源，按實際使用量付費，并且不需要管理它們。

云計算具備5 個基本特征：虛擬化的資源池，基于網(wǎng)絡(luò)訪問，按需自助式服務(wù)，使用服務(wù)可計量，快速彈性。目前，Amazon、Google、IBM 等國際大型IT 公司已紛紛建立并對外提供各種云計算服務(wù)。云計算為用戶提供基礎(chǔ)設(shè)施及服務(wù)、平臺及服務(wù)和軟件及服務(wù)三項服務(wù)。云計算安全體系架構(gòu)智慧校園可以通過云計算平臺實現(xiàn)高效的資源共享，減少資源重復(fù)建設(shè)。云計算平臺能夠整合管理各種資源，使用起來不再受地域、時間的限制，使智慧校園網(wǎng)的搭建更加流暢、簡單。基于云計算的智慧校園系統(tǒng)不再要求高性能的服務(wù)器，節(jié)約了成本。在云計算環(huán)境中，學校不再擁有基礎(chǔ)設(shè)施的硬件資源，軟件都運行在云中，業(yè)務(wù)數(shù)據(jù)也存儲在云中。因此，云計算在給智慧校園帶來便利的同時，也面臨著一系列的安全問題，除了存在已久的信息安全問題，還有云計算帶來的新型安全問題，比如云計算環(huán)境下多租戶共存帶來的潛在風險、數(shù)據(jù)分散存儲和云服務(wù)的開放性等，這些都對現(xiàn)有的安全體系帶來了新的挑戰(zhàn)，其安全關(guān)系到云計算是否能在智慧校園中被應(yīng)用。結(jié)合云計算的特點和技術(shù)，根據(jù)智慧校園的實際情況，物理環(huán)境、網(wǎng)絡(luò)、數(shù)據(jù)、管理等方面構(gòu)建層次化的云安全體系架構(gòu)，從而保證智慧校園網(wǎng)的安全。

（一）物理安全。物理安全是非常重要的，它是整個云安全的前提，主要包括物理設(shè)備的安全、網(wǎng)絡(luò)環(huán)境的安全等。機房、計算機設(shè)備、監(jiān)控等場地設(shè)施和周圍環(huán)境及消防安全，應(yīng)符合國家相關(guān)標準，并滿足網(wǎng)絡(luò)平臺運行的要求。在如有可能的情況下，學校可通過額外的電池盒UPS 電源調(diào)節(jié)電流量，防止尖峰、浪涌，以及用電管制。

（二）網(wǎng)絡(luò)安全。云服務(wù)基于網(wǎng)絡(luò)提供服務(wù)，因此云服務(wù)提供商的網(wǎng)絡(luò)安全是否可靠是正常、持續(xù)提供服務(wù)的關(guān)鍵。網(wǎng)絡(luò)安全主要在網(wǎng)絡(luò)拓撲安全、安全域的劃分及邊界防護、網(wǎng)絡(luò)資源的訪問控制、入侵檢測的手段、網(wǎng)絡(luò)設(shè)施防病毒等方面加以保證。網(wǎng)絡(luò)拓撲安全采用新型的網(wǎng)絡(luò)拓撲結(jié)構(gòu)，如VL2、Port．Land、DCel 等，使得節(jié)點之間的連通性與容錯能力更高，易于負載均衡。在云計算平臺中，物理的安全邊界逐步消失，取而代之的是邏輯的安全邊界，應(yīng)通過采用VPN（虛擬專用網(wǎng)絡(luò)）和數(shù)據(jù)加密等技術(shù)，保證用戶數(shù)據(jù)的傳輸安全性；在云計算數(shù)據(jù)中心內(nèi)部，采用VLAN 以及分布式虛擬交換機等技術(shù)實現(xiàn)用戶系統(tǒng)和用戶網(wǎng)絡(luò)的隔離；采用分布式入侵檢測和病毒防護系統(tǒng)抵御來自校園外網(wǎng)的攻擊；除此之外，還可以采取其他的安全措施和技術(shù)，如端口綁定、構(gòu)建虛擬防火墻、提供Anti-DDos 服務(wù)、設(shè)計適合于云計算的訪問控制機制等，確保每個虛擬服務(wù)器上只運行一個網(wǎng)絡(luò)服務(wù)，不能直接訪問最敏感的數(shù)據(jù)，服務(wù)器上只開發(fā)支撐服務(wù)絕對必需的端口，其余一律關(guān)閉。學校網(wǎng)絡(luò)管理員熟悉路由器、交換機和服務(wù)器等各種設(shè)備的網(wǎng)絡(luò)配置，了解網(wǎng)絡(luò)拓撲結(jié)構(gòu)，在發(fā)現(xiàn)問題后迅速定位，還要進行訪問流量的統(tǒng)計，識別非正常使用情況并加以封禁。

（三）數(shù)據(jù)信息安全。傳統(tǒng)的形式是將數(shù)據(jù)保存在學校可控制的環(huán)境中，而在云計算環(huán)境中，數(shù)據(jù)保存在云計算平臺中，學校數(shù)據(jù)面臨的安全威脅更加突出。針對云計算環(huán)境下的數(shù)據(jù)信息安全標準要求，需要從數(shù)據(jù)隔離、訪問控制、數(shù)據(jù)加密、數(shù)據(jù)殘留等技術(shù)手段，來保證學校數(shù)據(jù)的安全性、完整性、可用性和私密性。因此需要權(quán)衡服務(wù)性能需求和數(shù)據(jù)保護需求，既方便云的管理，又提供更高的安全性。

（四）管理安全。對于一個龐大且復(fù)雜的云計算平臺，管理尤其需要重視。為了保證數(shù)據(jù)的安全性、服務(wù)的連續(xù)性，根據(jù)學校的實際情況，制定安全管理制度，建立安全審計系統(tǒng)，能夠在檢測到入侵事件時自動響應(yīng)，記錄和維護好各類日志內(nèi)容，以提高對違規(guī)溯源的事后審查能力。

［1］雷萬云.云計算技術(shù)、平臺及應(yīng)用案例［M］.北京：清華大學出版社，2011.

［2］薄明霞，陳軍.云計算安全體系架構(gòu)研究［J］.信息網(wǎng)絡(luò)安全，2011.8.